Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

特定于应用程序的应用程序客户端设置

用户池应用程序客户端是用户池中的一项配置，它与一个通过 Amazon Cognito 进行身份验证的移动或 Web 应用程序进行交互。应用程序客户端可以调用经过授权和未经身份验证的 API 操作，并读取或修改用户的部分或全部属性。您的应用程序必须在操作中向应用程序客户端表明自己的身份，才能注册、登录和处理忘记的密码。这些 API 请求必须包括使用应用程序客户端 ID 进行自我识别以及使用可选客户端密钥进行授权的机制。您必须确保任何应用程序客户端 ID 或密钥的安全，以便只有经过授权的客户端应用程序才能调用这些未经身份验证的操作。此外，如果您将应用程序配置为使用 Amazon 凭证签署经过身份验证的 API 请求，您必须保护您的凭证免受用户检查。

您可以为一个用户池创建多个应用程序。应用程序客户端可能链接到应用程序的代码平台，也可能链接到用户池中的单独租户。例如，您可以为服务器端应用程序和其他 Android 应用程序创建一个应用程序。每个应用程序都有各自的应用程序客户端 ID。

您可以在应用程序客户端级别应用以下用户池特征的设置：

应用程序客户端类型

在 Amazon Cognito 中创建应用程序客户端时，您可以根据标准 OAuth 客户端类型公有客户端和机密客户端预填充选项。使用客户端密钥配置机密客户端 有关客户端类型的更多信息，请参阅 IETF RFC 6749 #2.1。

您可以将机密客户端和客户端密钥用于公有应用程序。使用 Amazon CloudFront 代理添加传输中的 SECRET_HASH。有关更多信息，请参阅 Amazon 博客上的使用 Amazon CloudFront 代理保护 Amazon Cognito 的公共客户端。

JSON Web 令牌

Amazon Cognito 应用程序客户端可以发放以下类型的 JSON Web 令牌（JWT）。

您可以在 Amazon Cognito 控制台中，从用户池的应用程序客户端菜单为每个应用程序客户端设置这些令牌的到期时间。

应用程序客户端术语

以下术语是 Amazon Cognito 控制台中应用程序客户端的可用属性。

创建应用程序客户端

Amazon Web Services 管理控制台

创建应用程序客户端（控制台）

1. 转到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 选择用户池。

3. 从列表中选择一个现有用户池，或创建一个用户池。这两个选项都会提示您使用特定于应用程序的设置配置应用程序客户端。

4. 选择一种能反映您的应用程序架构的应用程序类型。

5. 使用友好的标识符命名您的应用程序。

6. 输入返回 URL。

7. 选择创建应用程序客户端。创建应用程序客户端后，您可以更改高级选项。

8. Amazon Cognito 将您返回到应用程序客户端详细信息。要访问应用程序的示例代码，请从快速设置指南选项卡中选择一个平台。

Amazon CLI

aws cognito-idp create-user-pool-client --user-pool-id MyUserPoolID --client-name myApp

注意

回调和注销 URL 采用 JSON 格式，以防止 CLI 将它们视为远程参数文件：

--callback-urls "["https://example.com"]"
--logout-urls "["https://example.com"]"

请参阅 Amazon CLI 命令参考了解更多信息：create-user-pool-client。

Amazon Cognito user pools API

生成一个 CreateUserPoolClient API 请求。必须为所有您不想设置为默认值的参数指定一个值。

更新用户池应用程序客户端（Amazon CLI 和 Amazon API）

在 Amazon CLI 中，输入以下命令：

aws cognito-idp update-user-pool-client --user-pool-id  "MyUserPoolID" --client-id "MyAppClientID" --allowed-o-auth-flows-user-pool-client --allowed-o-auth-flows "code" "implicit" --allowed-o-auth-scopes "openid" --callback-urls "["https://example.com"]" --supported-identity-providers "["MySAMLIdP", "LoginWithAmazon"]"

如果命令成功，则 Amazon CLI 会返回确认：

{
    "UserPoolClient": {
        "ClientId": "MyClientID",
        "SupportedIdentityProviders": [
            "LoginWithAmazon",
            "MySAMLIdP"
        ],
        "CallbackURLs": [
            "https://example.com"
        ],
        "AllowedOAuthScopes": [
            "openid"
        ],
        "ClientName": "Example",
        "AllowedOAuthFlows": [
            "implicit",
            "code"
        ],
        "RefreshTokenValidity": 30,
        "AuthSessionValidity": 3,
        "CreationDate": 1524628110.29,
        "AllowedOAuthFlowsUserPoolClient": true,
        "UserPoolId": "MyUserPoolID",
        "LastModifiedDate": 1530055177.553
    }
}

请参阅 Amazon CLI 命令参考了解更多信息：update-user-pool-client。

Amazon API：UpdateUserPoolClient

获取有关用户池应用程序客户端的信息（Amazon CLI 和 Amazon API）

aws cognito-idp describe-user-pool-client --user-pool-id MyUserPoolID --client-id MyClientID

请参阅 Amazon CLI 命令参考了解更多信息：describe-user-pool-client。

Amazon API：DescribeUserPoolClient

列出一个用户池中所有应用程序客户端的信息（Amazon CLI 和 Amazon API）

aws cognito-idp list-user-pool-clients --user-pool-id "MyUserPoolID" --max-results 3

请参阅 Amazon CLI 命令参考了解更多信息：list-user-pool-clients。

Amazon API：ListUserPoolClients

删除用户池应用程序客户端（Amazon CLI 和 Amazon API）

aws cognito-idp delete-user-pool-client --user-pool-id "MyUserPoolID" --client-id "MyAppClientID"

请参阅 Amazon CLI 命令参考了解更多信息：delete-user-pool-client。

Amazon API：DeleteUserPoolClient